主页 / ubuntu / 问题 / 30039
Accepted
Bunny Rabbit
Asked: 2011-03-13 03:41:11 +0800 CST

关于 SSL 证书的警告，我是否受到攻击？

  • 772

最近我在我的电脑上收到了很多关于 SSL 认证的警告，Empathy 一直告诉我 Facebook 的证书是自签名的，不可信，而且 Google-Chrome 中偶尔会出现关于安全性的警告。我记得最后一个说页面是安全的，但是页面使用的一些资源不是来自安全连接，类似的。

我的电脑是否被黑客入侵/受到攻击？我该如何检查，如果是，我该如何保护自己？

PS：我想到的一件事是我可能受到了 arp 中毒/欺骗攻击。

security

2 个回答

  1. 是的，有人在攻击你。查看与您有相同问题的人的此 Firefox 错误报告：https ://bugzilla.mozilla.org/show_bug.cgi?id=460374

    • 2
  2. Best Answer

    我不认为你受到攻击。

    当涉及到信任证书时，如果证书是由另一个机构的证书/密钥签名的，而另一个机构的用于签名的证书/密钥已经是受信任的，那么就必须知道该证书是受信任的。也就是所谓的“信任链”；你可能已经听说过这个词。

    现在，每个链条都需要一个开始。实际上，这意味着例如浏览器中有一些根证书。这些是硬编码的，对于每家设法将自己的证书硬编码到浏览器中的公司来说，这是一座金矿；片刻之后，你就会明白为什么。

    当浏览器检查来自网站 A 的证书时，它基本上会执行以下操作：

    • 检查证书是否是根证书之一
    • 如果不是，请检查证书是否由根证书签名
    • 如果不是，请检查证书是否由根证书签名的证书签名

    ... 等等。我故意简化情况，部分使用了稍微不正确的术语（实际上，我们谈论的是哈希、私钥和公钥等），但现在应该清楚原理了。

    关于您的问题：我怀疑您的软件只是没有这些根证书。您可以使用其他软件轻松对此进行测试。例如，在网站的情况下尝试 Firefox；如果 Firefox 也显示警告，则可能很危险。

    此外，证书通常会过期，人们可能会忘记更新它们。正如历史所表明的那样，即使是最大的公司也可能发生这种情况。由于证书过期，浏览器和其他软件会发出警告。最后，证书可以被吊销；例如，如果犯罪公司设法获得由知名根证书之一签名的证书，例如来自 Verisign 的证书等，则该公司的证书必须在该公司的犯罪行为是众所周知的。

    所以我的建议是使用其他浏览器进行测试并打开证书并检查不信任的原因 - 任何可靠的软件都会显示它。

    关于您的其他警告，没有一般建议。可能会发生单个 Web 文档的某些部分是安全的，而其他部分则不是。这是我们必须忍受的事实（显示的原因远远超出了这篇文章）；在这种情况下的问题是，您无法轻易找出是广告不安全还是您的信用卡号码不安全。

    如果我自相矛盾并给你一个一般性的建议：在向网站提供可能以任何方式滥用的个人信息时，我会留下它。这些错误让您看到一家公司对保护客户个人数据的义务是多么认真。

    问候，

    比纳鲁斯

    • 1

相关问题